More Markets sufrió un exploit estimado en 9,3 millones de dólares en Flow EVM el 31 de agosto, después de que un atacante usara una posición de liquid staking vinculada de Ankr junto con E-Mode para vaciar la reserva de préstamos de WFLOW del protocolo.

El ataque retiró 15,5 millones de WFLOW del mercado mFlowWFLOW antes de que los activos se movieran a través de un grupo de transacciones posteriores al exploit. La cifra de 9,3 millones de dólares representa el impacto inicial detectado; la deuda incobrable final y los montos recuperables aún deben determinarse.

Ankr LST y E-Mode usados para drenar WFLOW

More Markets es un protocolo de préstamos sin custodia construido sobre Aave V3 y desplegado en Flow EVM. Los usuarios pueden aportar activos para obtener rendimiento, depositar colateral y tomar préstamos de las reservas de liquidez, con WFLOW y ankrFLOW entre sus mercados admitidos.

El Efficient Mode de Aave V3, o E-Mode, aumenta la eficiencia de capital para los activos agrupados en categorías correlacionadas al permitir parámetros de loan-to-value y liquidación a nivel de categoría. Por lo tanto, la función puede soportar una mayor capacidad de préstamo que la configuración estándar de colateral cuando una posición elegible opera dentro de una categoría de E-Mode. E-Mode fue diseñado para activos que se espera se muevan de forma estrecha en precio, como los tokens de liquid staking emparejados con su stake subyacente, y la mayor capacidad de préstamo que habilita depende de que esa correlación se mantenga bajo estrés de mercado o manipulación.

Según la configuración estándar de Flow de More Markets, WFLOW tiene un LTV del 81,5% con un umbral de liquidación del 83%, mientras que ankrFLOW tiene un LTV del 78,5% y un umbral de liquidación del 81%. E-Mode puede reemplazar estos parámetros de riesgo estándar con configuraciones específicas de categoría para posiciones de colateral y deuda que califiquen.

La ruta de ataque confirmada se centra en la posición de liquid staking vinculada a Ankr, E-Mode y la reserva mFlowWFLOW vaciada. El componente afectado fue el sistema de préstamos de More Markets, no la infraestructura de consenso subyacente de Flow.

La liquidez de More Markets queda por debajo de la estimación del exploit

Tras hacerse público el exploit, More Markets contaba con unos 3,64 millones de dólares en TVL junto con aproximadamente 3,67 millones de dólares en préstamos activos. El impacto inicial detectado de 9,3 millones de dólares es, por lo tanto, sustancialmente mayor que el valor bloqueado restante reportado por el protocolo.

El ataque sigue a otro exploit importante en un mercado de préstamos menos de un día antes. Cronos detuvo la producción de bloques después de que un exploit en Tectonic generara una estimación temprana de pérdidas cercana a los 75 millones de dólares, con colateral TONIC manipulado usado para tomar prestados activos de mayor valor.

Varios días antes, un ataque separado a Moonwell en Base extrajo aproximadamente 9 millones de dólares, después de que los atacantes inflaran el colateral MAMO, de baja liquidez, antes de tomar prestados cbBTC, USDC y activos vinculados a Ethereum.

Los tres incidentes comparten un mecanismo común: se usó colateral cuya valoración podía distorsionarse para tomar prestadas cantidades mayores de activos más líquidos de las reservas de préstamos. Este patrón ha sido históricamente uno de los vectores de pérdida más recurrentes en los préstamos DeFi, razón por la cual los protocolos establecidos restringen los oráculos y el préstamo contra pares de activos de baja liquidez o estrechamente correlacionados.

La red principal de Flow continúa operativa

Flow permaneció en línea durante todo el ataque a More Markets. Los componentes centrales de la red principal siguieron operativos, incluida la finalización de bloques, la ejecución de transacciones, el sellado de bloques y el EVM Gateway de la red.

La red no experimentó ninguna detención generalizada de la red principal vinculada al drenaje de More Markets. Al momento de la publicación, el EVM Gateway de Flow y la infraestructura central de producción de bloques seguían operativos. Entre los puntos pendientes para el protocolo figuran la contabilidad final de la deuda incobrable, cualquier esfuerzo de recuperación o rastreo de fondos en torno a las transacciones posteriores al exploit, y si More Markets ajustará sus parámetros de riesgo de E-Mode y liquid staking antes de reabrir el mercado afectado.